Política de Privacidade
Última atualização: 30 de julho de 2026Esta política explica quais dados pessoais o baixaxml coleta, por que coleta, com quem compartilha e o que você pode exigir a respeito deles. Foi escrita para ser lida — sem remissões a artigos que você teria de procurar.
1. Quem é o responsável
O serviço é operado por baixaxml, inscrita no CNPJ 43.011.795/0001-46. Para qualquer assunto relacionado a dados pessoais — inclusive para exercer os direitos da seção 8 — o canal é contato@baixaxml.com.br.
Somos um agente de tratamento de pequeno porte. As solicitações são respondidas por esse mesmo endereço, dentro dos prazos legais.
2. Dois papéis diferentes, e por que isso importa
Sobre os dados da sua conta, somos o controlador. Nome, CPF ou CNPJ, e-mail, endereço e histórico de uso existem porque decidimos coletá-los para prestar o serviço. As decisões sobre eles são nossas, e as obrigações também.
Sobre os dados fiscais que você envia, somos apenas o operador. Quando um escritório envia o SPED de um cliente, aquele arquivo contém dados de terceiros — fornecedores, destinatários, CNPJs, valores. Quem decidiu coletá-los e para que usá-los foi o escritório, não nós. Nós os processamos sob instrução: extraímos as chaves, buscamos os XMLs e devolvemos. Não usamos esse conteúdo para nada além disso, não o vendemos, não o cruzamos com outros clientes e não o analisamos para fins próprios.
Na prática: se um titular quiser exercer direitos sobre dados que aparecem num SPED enviado por um escritório, o pedido deve ser dirigido ao escritório, que é quem controla aquele tratamento. Se ele chegar até nós, encaminhamos e auxiliamos no que couber.
3. Quais dados coletamos
- Cadastro: nome ou razão social, CPF ou CNPJ, e-mail, telefone (opcional) e endereço completo. Pedimos o documento porque a emissão de cobrança exige identificação do pagador.
- Senha: guardada apenas como hash (scrypt). Não temos como ler sua senha, nem para ajudar — só redefiní-la.
- Registros de acesso: endereço IP, identificação do navegador, data e hora de cada tentativa de login, bem-sucedida ou não. A guarda desses registros é exigida pelo Marco Civil da Internet.
- Uso do serviço: buscas realizadas, arquivos enviados, lançamentos de crédito e chaves de API emitidas.
- Arquivos que você envia: SPED e listas de chaves. Contêm dados fiscais de terceiros — ver a seção 2.
- Pagamentos: não recebemos nem armazenamos dados de cartão. A cobrança por Pix é emitida pelo Asaas, que recebe seu nome, documento e e-mail para gerá-la.
- Audiência do site: se você consentir, registramos a visita à página pública de forma anônima — ver a seção 6.
4. Por que tratamos cada dado
- Executar o contrato: criar e manter sua conta, processar as buscas, entregar os XMLs, controlar saldo e cobrar pelo uso.
- Cumprir obrigação legal: guardar registros de acesso e emitir documentos fiscais das cobranças.
- Legítimo interesse: segurança (detectar tentativas de invasão e uso indevido) e medição anônima de audiência do site.
- Consentimento: apenas para a medição de audiência, que você pode ligar e desligar a qualquer momento no fim desta página.
Não usamos seus dados para publicidade, não os vendemos e não os cedemos a corretores de dados. Não há decisão automatizada que produza efeitos jurídicos sobre você.
5. Com quem compartilhamos
Só com quem é necessário para o serviço funcionar, e só o mínimo que cada um precisa:
- Asaas (instituição de pagamento, Brasil) — nome, documento e e-mail, para emitir a cobrança Pix.
- Provedor de e-mail transacional — seu endereço de e-mail e o conteúdo das mensagens que enviamos (código de verificação, avisos da conta).
- Provedor de infraestrutura — hospeda a aplicação e o banco de dados.
Para obter os XMLs, consultamos serviços públicos de consulta de documentos fiscais usando a chave de acesso que você informou. Enviamos a chave — não enviamos seus dados de cadastro.
Transferência internacional: alguns desses fornecedores mantêm servidores fora do Brasil. Quando isso ocorre, a transferência se apoia nas hipóteses do art. 33 da LGPD e se limita ao necessário para o serviço.
Também podemos compartilhar dados por ordem judicial ou requisição de autoridade competente. Nesses casos, informamos o titular sempre que a lei permitir.
6. Cookies e tecnologias semelhantes
Este site não usa cookies de publicidade, de redes sociais ou de rastreamento entre sites. Nenhum terceiro recebe dados de navegação. O que existe é:
| Nome | Categoria | Para que serve |
|---|---|---|
bx_sessao / bx_refresh | Necessário | Mantêm você conectado e renovam a sessão sem pedir a senha de novo. Não são legíveis por scripts da página. |
bx_csrf | Necessário | Impede que outro site execute ações na sua conta aproveitando a sessão aberta. |
bx_consent | Necessário | Guarda a escolha que você fez aqui, para não perguntarmos de novo. |
bx_visita | Audiência | Evita contar a mesma aba duas vezes. Vale só enquanto a aba está aberta. |
bx_origem | Audiência | Lembra de qual site você chegou da primeira vez. Só é enviado se você criar uma conta, para sabermos quais canais trazem clientes; recusar a medição apaga. |
A medição de audiência registra que uma visita aconteceu, em qual página e de qual site você veio. Para saber se duas visitas são da mesma pessoa no mesmo dia, o servidor guarda um código derivado do seu IP e do seu navegador — nunca o IP em si — e a chave que gera esse código muda todos os dias. Passada a virada do dia, não há como ligar as visitas de ontem às de hoje, nem por nós, nem por quem obtivesse o banco de dados. Esses registros são apagados após 180 dias.
7. Por quanto tempo guardamos
- Dados de cadastro: enquanto a conta existir e, depois do encerramento, pelo prazo necessário para cumprir obrigações legais e fiscais.
- Registros de acesso: pelo prazo do Marco Civil da Internet.
- Arquivos SPED e XMLs baixados: as buscas e os arquivos são removidos automaticamente 48 horas após a conclusão. Baixe o ZIP antes disso — depois, não temos como recuperá-lo.
- Lançamentos de crédito: mantidos como histórico financeiro, porque são a prova do que foi cobrado.
- Medição de audiência: 180 dias.
8. Seus direitos
A LGPD garante a você, sobre os seus dados pessoais, o direito de:
- Confirmar se tratamos dados seus e acessá-los.
- Corrigir dados incompletos, inexatos ou desatualizados — o que você também pode fazer sozinho, em Configurações.
- Solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei.
- Pedir a portabilidade a outro fornecedor.
- Saber com quem compartilhamos seus dados.
- Revogar o consentimento e ser informado das consequências da negativa.
- Opor-se a tratamento feito com base em legítimo interesse.
Escreva para contato@baixaxml.com.br. Podemos pedir informações que confirmem sua identidade — não para dificultar, mas porque entregar dados à pessoa errada seria o próprio vazamento que esses direitos existem para evitar.
Alguns dados não podem ser apagados a pedido: registros de acesso e documentos fiscais têm guarda obrigatória por lei. Nesses casos, explicamos o motivo e o prazo.
9. Segurança
As senhas são guardadas apenas como hash. A sessão fica em cookie que o JavaScript da página não consegue ler, com proteção contra requisições forjadas por outros sites. Todo o tráfego é cifrado por HTTPS. Cada conta enxerga apenas os próprios dados, e as ações administrativas ficam registradas com autor, alvo e origem.
Nenhum sistema é imune. Se ocorrer um incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a Autoridade Nacional de Proteção de Dados, como manda o art. 48 da LGPD.
10. Mudanças nesta política
Se ela mudar de forma relevante, avisaremos pelo site ou por e-mail antes de a mudança valer. A data de atualização fica sempre no topo desta página.